ntoskrnl符号在IDA中查看的问题

最新推荐文章于 2022-04-07 15:31:12 发布
最新推荐文章于 2022-04-07 15:31:12 发布
阅读量3.3k 收藏
点赞数
分类专栏： 我的日记 文章标签： ntoskrnl x64 INIT IDA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cnbragon/article/details/32179445
版权

最近发现x64的ntoskrnl.exe，如果直接在IDA中查看，会有一些函数IDA没有识别出来，比如


查看以后，发现1405AE2B0这个地址在IDA中并不存在，查看ntoskrnl的section信息，发现这个地址是属于INIT节，这个节属性如下


表示可丢弃，原来IDA在加载这种节数据的时候，并不load进来解析，所以解决这个问题也比较好办，去掉这个属性，重新保存一份exe，重命名为

ntkrnlmp.exe，再用IDA加载，发现就可以解析了



cnbragon
关注
专栏目录
[网络安全自学篇] 七十三.WannaCry勒索病毒复现及分析（四）蠕虫传播机制全网源码详细解读
杨秀璋的专栏
05-05 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了逆向分析OllyDbg动态调试工具的基本用法，包括界面介绍、常用快捷键和TraceMe案例分析。这篇文章将继续详细讲解WannaCry蠕虫的传播机制，带领大家详细阅读源代码，分享WannaCry勒索病毒是如何传播感染的。作者分析该病毒一个月，一方面觉得自己技术菜，另一方面深知系统安全需要坚持，继续加油。希望文章对您有所帮助~
使用 PDBDownloader 解决 IDA 加载 ntoskrnl.exe 时符号不完全问题
Littleree的博客
08-20 328
使用 PDBDownloader 解决 IDA 加载 ntoskrnl.exe 时符号不完全问题
使用IDA静态分析osloader.exe+Ntoskrnl.exe
Lawliet_233的博客
11-09 2011
1.使用IDA静态分析osloader.exe，找到BlOpen（）函数的执行语句，简述查找及分析过程。用IDA pro 5.6打开osloader.exeAlt+T，打开文本搜索对话框，在字符串文本框中输入要搜索boot.ini.成功跳转到BIOpen函数ARC_STATUS BlOpen ( IN ULONG DeviceId, I
用ida打开ntoskrnel.exe很多函数名不显示的问题
liuhaidon1992的博客
09-09 1900
原因很简单，缺少符号文件。 解决方法：打开IDA目录下的文件pdb.cfg，把PDBSYM_SYMPATH = "SRV*c:\\symbols*http://symbols.mozilla.org/firefox;SRV*c:\\symbols*http://msdl.microsoft.com/download/symbols";这段前面的注释去掉，保存配置文件，重新用IDA打开ntosk...
【Error】 IDA无法打开，报错：Fatal error before kernel init
think_ycx的专栏
07-15 1094
解决方法：删除~/.idapro/ida.reg文件。 参考： https://blog.csdn.net/u011031257/article/details/81517688
ntoskrnl.idb
05-29
ntoskrnl.idb源自ntoskrnl.sys，分析了部分电源管理相关的内核函数 后续继续更新
ntoskrnl.exe.c 导出函数 常用2000 个内核函数名
05-14
//CmRegisterCallback 监控注册表 //CmRegisterCallbackEx 监控注册表 //PsRemoveCreateThreadNotifyRoutine //取消线程拦截 取消线程监控 //PsRemoveLoadImageNotifyRoutine //取消模块拦截 取消模块监控 //PsRestoreImpersonation //PsResumeProcess //PsReturnPoolQuota //PsReturnProcessNonPagedPoolQuota //PsReturnProcessPagedPoolQuota //PsRevertThreadToSelf //PsRevertToSelf //PsSetContextThread //设置线程环境 //PsSetCreateProcessNotifyRoutine //拦截进程 //PsSetCreateProcessNotifyRoutineEx //拦截进程 进程监控 //PsSetCreateThreadNotifyRoutine //线程监控 线程拦截 //PsSetCurrentThreadPrefetching //PsSetJobUIRestrictionsClass //PsSetLegoNotifyRoutine //PsSetLoadImageNotifyRoutine 拦截模块加载 //PsSetProcessPriorityByClass
xp或win7中的2个内核文件与符号文件的区别
zhaopeng01zp的博客
09-13 577
简单来说，是同一套源代码根据编译选项的不同而编译出四个可执行文件，分别用于： ntoskrnl.exe - 单处理器，不支持PAE ntkrnlpa.exe - 单处理器，支持PAE ntkrnlmp.exe - 多处理器，不支持PAE ntkrpamp.exe - 多处理器，支持PAE 在IDA中分析xp或win7的话，101012分页使用ntoskrnl.exe，对应的符号文件是ntkrnlmp.pdb； 29912分页使用ntkrnlpa.exe，对应的符号文件是ntkrpamp.pdb。 ...
Unable to load image ntoskrnl.exe的问题
dizhifu3111的博客
09-29 1576
最近在分析一个蓝屏dump时发现，nt模块加载不了符号表，其他系统驱动的符号表都能加载成功 3: kd> .reload /f nt Unable to load image ntoskrnl.exe, Win32 error 0n2 *** WARNING: Unable to verify timestamp for ntoskrnl.exe *** ERROR: ...
Windows内使用livekd使得即时获得内核层dmp或实时查看快照
u010607621的博客
09-22 786
1 需求场景 对于个别程序陷入内核不返回，或者无法呼出调试器等场景，往往需要查看内核层数据再进一步分析。通常用scrolllock法触发蓝屏。但是这样做一则需要事先配置好蓝屏设置，二则蓝屏后，故障现象就被终止了。 livekd就可克服上述缺点，它能够即时获得内核层dmp，不影响Windows继续运行。当然，livedkd毕竟是个应用程序，前提是至少要能够执行livekd。 livekd需要配合kd.exe或者windbg.exe使用。推荐直接下载windbg，这里面包含了二者。 livekd还需要ntosk
C语言库函数的连接
井底之蛙
12-18 4472
        以前没怎么注意这个，知道今天搞驱动的时侯才注意到！我在debugman上自问自答，这里在写的详细一点：现在最新的WDK6001.18002，改了驱动入口点/entry:GsDriverEntry@8 “Windows Vista and Windows Server 2008 x86 Checked”的驱动连接了1>E:/WINDDK/6001~1.180/li
360壳分析，手把手教你操作
YJJYXM的博客
01-16 3652
安卓逆向交流学习群：692903341 先直接看这个so库： 拖入IDA静态看一下：发现看不到什么信息，原因很简单，因为被处理了； 怎么办呢？通过010进行对so简单修改： 拖入IDA，使用ELF.b进行识别： 识别效果： 头里面描述了有关节的信息： 先修改节的偏移： 这个三个： 保存之后，然后继续拖入IDA：发现没报异常，可以识别一些东西： 为什么这样就能成功呢？因为我们把节有关的...
iOS逆向学习四：符号表还原
sharon
09-15 1396
本文的部分理论支持，节选自这里：iOS符号表恢复。 前言 符号表历来是逆向工程中的“必争之地”，而iOS应用在上线前要裁去符号表，以避免被逆向分析。 这些可以通过配置xcode的编译选项来达到效果。具体操作请看这：Xcode中和symbols有关的几个设置。 Xcode显示调用堆栈中符号时，只会显示符号表中有的符号。为了我们调试过程的顺利，我们有必要把可执行文件中的符号表恢复回来。 先来看一眼无符...
LINUX 下的逆向 用 IDA 分析,样本逆向中系统调用的识别方法
weixin_39601056的博客
05-13 402
作者：RootKiter无符号表情况下的逆向LINUX平台下的程序，可以通过strip程序进行精简，精简过的可执行文件会变小，同时又丝毫不影响执行效率。但这种情况会给程序逆向带来困扰。由于没有符号表的支持，所有函数在IDA中都会被显示为sub_xxx的形式，这会给逆向工程带来麻烦。这里简单记录一下各常见平台下的系统调用识别方法。常见平台的系统调用识别方法无论哪个平台的系统调用都有两个关键点，一个是...
ntoskrnl.lib(loadcfg.obj) : error LNK2001: 无法解析的外部符号 ___security_cookie 解决方法
被遗弃的庸才博客
04-07 783
背景 今天编译公司x86驱动的时候发现了如下报错，我也奇怪，为什么会找不到符号 后来发现是因为用的xp的lib。ObRegisterCallbacks最少都是sp1 改为win7\i386,错误变成了 后来在网上找了找，都是一个人写的，被反复的转载，意思是win7不能用__try,那怎么解决这个问题。 解决方法 加入BufferOverflowK.lib 参考链接 ...
关于内核符号表
SdustLiYang的专栏
04-30 818
在编写驱动的过程中，常会使用到EXPORT_SYMBOL宏来将定义的函数名导出到内核符号表。以前只是简单的知道如果一个模块中定义的函数要提供给其他模块调用，就必须进行导出。         这段时间在编译单个模块的时候，因为没编译成功造成了函数没定义而报警的情况，因此让我有一个机会对内核符号表的问题进行了一个深入的学习和认识。 我们知道，如果一个模块中使用到了另一个模块中定义的函数，那么在编
今年的新坑《windows内核设计思想》
choutianke47752的博客
04-14 484
编译源代码遇到的问题和解决方法：问题1：在编译acpi开始就会遇到：无法打开输入文件“ntoskrnl.lib”设置ntoskrnl开始之后的所有工程添加附加库由ntoskrnl生成的 问题2：在编译ntfs文件系统的时候：1>create.obj : error LNK2019: 无...
VS2012环境编译驱动(根据网络教程改编)
dfhemst19920518的博客
07-06 1000
VS2012环境编译驱动 准备：安装VS2012    "G:\Microsoft Visual Studio 11.0\Common7\IDE\devenv.exe"              安装WINDDK    C:\WinDDK VS2012驱动编译配置 VS2012集成环境下编译驱动   1)打开VS新建一个空的 win32控制台程序 1、选（文件→新建→项目→Visua
ntoskrnl.lib(loadcfg.obj) : error LNK2001: unresolved external symbol ___security_cookie
keidoekd2345的专栏
08-25 1518
用VS2008 搭建环境时编译win7 平台微软驱动例子，经常报一些crt函数无法连接，然后buffer Security check ，将Basic runtime checks 改为default, Ignore all Defalut library 为YES 后，这些错误基本消除，但是代码中也就缺少了安全检查的代码。 但是还有一个错误一直存在 ntoskrnl.lib(loadcfg.
ntoskrnl.exe中有什么
最新发布
07-14
具体而言，ntoskrnl.exe中包含了以下功能： 1. 进程和线程管理：负责创建、调度和终止进程和线程，管理进程间的通信和同步。 2. 内存管理：控制和分配系统内存资源，包括虚拟内存管理、页面交换、物理内存分配等。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值